目錄

簡介

必要條件

需求

採用元件

背景資訊

限制

設定

組態

步驟1.建立AnyConnect管理VPN配置檔案

步驟2.建立AnyConnect VPN配置檔案

步驟3.將AnyConnect管理VPN配置檔案和AnyConnect VPN配置檔案上傳到FMC

步驟4.建立組策略

步驟5.建立新的AnyConnect配置

步驟6.建立URL對象

步驟7.定義URL別名

驗證

疑難排解

簡介

本文檔介紹如何在Cisco FMC管理的安全防火牆威脅防禦上配置安全客戶端VPN管理隧道。

必要條件

需求

思科建議您瞭解以下主題：

- 使用者端憑證驗證

- Cisco AnyConnect Profile Editor

- 通過防火牆管理中心(FMC)配置SSL AnyConnect

採用元件

本文中的資訊係根據以下軟體和硬體版本：

- Cisco FMC版本6.7.0（內部版本65）

- 思科防火牆威脅防禦(FTD)版本6.7.0（內部版本65）

- Cisco AnyConnect 4.9.01095安裝在Windows 10電腦上

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

背景資訊

在此範例中，安全通訊端層(SSL)用於在FTD和Windows 10使用者端之間建立虛擬私人網路(VPN)。

自6.7版起，思科FTD支援配置AnyConnect管理隧道。此修復了先前開啟的增強功能要求Cisco錯誤ID CSCvs78215。

AnyConnect管理功能允許您在終端完成啟動後立即建立VPN隧道。使用者無需手動啟動AnyConnect應用。一旦系統通電，AnyConnect VPN代理服務將檢測管理VPN功能，並使用主機條目（在AnyConnect管理VPN配置檔案的伺服器清單中定義）啟動AnyConnect會話。

限制

- 僅支援客戶端證書身份驗證。

- Windows客戶端僅支援電腦證書儲存。

- 思科Firepower裝置管理器(FDM)不支援思科錯誤ID CSCvx90058。

- 不受Linux客戶端支援。

思科安全客戶端管理員指南，版本5中描述了全部限制。

設定

組態

步驟1.建立AnyConnect管理VPN配置檔案

開啟AnyConnect配置檔案編輯器以建立AnyConnect管理VPN配置檔案。管理配置檔案包含終端啟動後用於建立VPN隧道的所有設定。

1.在本示例中，定義了「伺服器清單」條目指向完全限定域名(FQDN)dperezve.jyoungta-labdomain.cisco.com，並選定SSL作為主要協定。要新增伺服器清單，請導航到伺服器清單，然後選擇新增按鈕。填寫必填欄位並儲存更改。

2.除伺服器清單外，管理VPN配置檔案還必須包含一些強制性首選項：

- AutomaticCertSelection必須設定為true。

- AutoReconnect必須設定為true。

- 必須為ReconnectAfterResume配置AutoReconnectBehavior。

- AutoUpdate必須設定為false。

- BlockUntrustedServers必須設定為true。

- 必須為MachineStore配置CertificateStore。

- CertificateStoreOverride必須設定為true。

- EnableAutomaticServerSelection必須設定為false。

- EnableScripting必須設定為false。

- RetainVPNOnLogoff必須設定為true。

3.在AnyConnect配置檔案編輯器中，導航至首選項(第1部分)，然後調整設定，如下圖所示：

4.定位至首選項（第2部分），然後取消選定禁用自動證書選擇選項。

步驟2.建立AnyConnect VPN配置檔案

作為管理VPN配置檔案的補充，必須配置常規AnyConnect VPN配置檔案。AnyConnect VPN配置檔案用於第一次連線嘗試。在此作業階段期間，管理VPN設定檔從FTD下載。

使用AnyConnect配置檔案編輯器建立AnyConnect VPN配置檔案。在這種情況下，兩個檔案都包含相同的設定，因此可以使用相同的過程。

步驟3.將AnyConnect管理VPN配置檔案和AnyConnect VPN配置檔案上傳到FMC

1.建立配置檔案後，將這些配置檔案作為AnyConnect檔案對象上傳到FMC。

2.要將新的AnyConnect管理VPN配置檔案上傳到FMC，請導航到Objects > Object Management，然後從目錄中選擇VPN選項。選擇Add AnyConnect File按鈕。

3.提供檔案的名稱。選擇AnyConnect Management VPN Profile作為檔案型別並儲存對象。

4.要上傳AnyConnect VPN配置檔案，請導航到Objects > Object Management，然後從目錄中選擇VPN選項。選擇Add AnyConnect File按鈕。

5.提供檔案的名稱，這次選擇AnyConnect VPN配置檔案作為檔案型別並儲存新對象。

6.必須將配置檔案新增到對象清單，並分別標籤為AnyConnect Management VPN Profile 和AnyConnect VPN Profile。

步驟4.建立組策略

1.要建立新的組策略，請導航到對象>對象管理，然後從目錄中選擇VPN選項。選擇組策略，然後按一下新增組策略按鈕。

2.開啟新增組策略視窗後，分配名稱並定義AnyConnect池，然後開啟AnyConnect頁籤。

3.導航到Profile，然後在Client Profile下拉選單中選擇代表常規AnyConnect VPN配置檔案的對象。

4.定位至「管理配置檔案」標籤，然後在「管理配置檔案」下拉選單中選擇包含管理VPN配置檔案的對象。

5.儲存更改，以將新對象新增到現有組策略中。

步驟5.建立新的AnyConnect配置

1.在FMC中配置SSL AnyConnect包括4個不同的步驟。要配置AnyConnect，請導航至Devices > VPN > Remote Access，然後選擇Add按鈕。此操作必須開啟遠端訪問VPN策略嚮導。

2.在Policy Assignment頁籤上，選擇手邊的FTD裝置，定義連線配置檔案的名稱，並選中SSL覈取方塊。

2.在連線配置檔案上，選擇Client Certificate Only作為身份驗證方法。這是該功能支援的唯一身份驗證。

3.然後，在「組策略」下拉選單中，選擇在步驟3中建立的組策略對象。

4.在AnyConnect頁籤上，根據終端上的作業系統(OS)選擇AnyConnect檔案對象。

5.在存取與憑證上，指定FTD必須使用的憑證，以向Windows使用者端探測其身分。

附註：由於使用者在使用管理VPN功能時無法與AnyConnect應用互動，因此證書必須完全受信任，並且不得列印任何警告消息。

附註：要防止證書驗證錯誤，證書的使用者名稱中包含的公用名(CN)欄位必須與在XML配置檔案伺服器清單（步驟1和步驟2）中定義的FQDN匹配。

6.最後，選擇Summary頁籤上的Finish按鈕以新增新的AnyConnect配置。

步驟6.建立URL對象

1.定位至「對象」>「對象管理」，然後從目錄中選擇URL。然後，在Add URL下拉選單中選擇Add Object。

2.提供對象的名稱，並使用在管理VPN配置檔案伺服器清單中指定的FQDN/使用者組定義URL（步驟2）。 在本例中，URL必須是dperezve.jyoungta-labdomain.cisco.com/AnyConnect_Management_Tunnel。

3.儲存更改，以將對象新增到對象清單中。

步驟7.定義URL別名

1.要在AnyConnect配置中啟用URL別名，請導航到Devices > VPN > Remote Access，然後按一下鉛筆圖示進行編輯。

2.在「連線配置檔案」頁籤上，選擇手頭的配置，導航到別名，然後按一下Add按鈕。然後，在URL別名下拉選單中選擇URL對象。確保選中Enabled覈取方塊。

3.儲存變更並將組態部署到FTD。

驗證

部署完成後，需要使用AnyConnect VPN配置檔案進行第一個手動的AnyConnect連線。在此連線期間，管理VPN配置檔案從FTD下載並儲存在C:\ProgramData\Cisco\Cisco AnyConnect Secure Mobility Client\Profile\MgmtTun中。此後，後續連線必須通過管理VPN配置檔案啟動，無需任何使用者互動。

疑難排解

對於證書驗證錯誤：

- 確保在FTD上安裝憑證授權單位(CA)的根憑證。

- 確保在Windows電腦應用商店上安裝由同一CA簽名的身份證書。

- 確保CN欄位包含在證書中，並且與管理VPN配置檔案的伺服器清單中定義的FQDN和URL別名中定義的FQDN相同。

對於未啟動的管理隧道：

- 確保管理VPN配置檔案已下載並儲存在C:\ProgramData\Cisco\Cisco AnyConnect Secure Mobility Client\Profile\MgmtTun中。

- 確保管理VPN配置檔案的名稱為VpnMgmtTunProfile.xml。

對於連線問題，請收集DART捆綁包並聯絡思科TAC進行進一步研究。